Kurzfassung
Affiliate-Tracking hat die Aufgabe, einen Verkauf dem Publisher zuzuordnen, der den Kunden geschickt hat. Klassisch geschieht das mit einem Cookie, doch Browser schränken Cookies zunehmend ein. Dieser Beitrag erklärt, welche Verfahren es gibt (Cookie, Klick-ID, Server-zu-Server-Meldung, Gutscheincode), wo ihre Grenzen liegen und warum „ohne Cookies“ nicht „ohne Einwilligung“ heißt. Er ist keine Rechtsberatung.
Wie funktioniert Affiliate-Tracking überhaupt?
Der Publisher setzt einen Link mit einer Kennung auf seine Seite. Klickt ein Besucher, merkt sich das System diese Kennung, meist in einem Cookie im Browser. Kauft der Besucher später, wird der Verkauf der Kennung zugeordnet und der Publisher erhält seine Provision. Üblich ist die Zuordnung nach dem Prinzip „Last Click“: Der letzte Klick vor dem Kauf zählt.
Das Netzwerk Awin beschreibt, dass Affiliate-Marketing traditionell mit Cookies funktioniert, meist mit einem First-Party-Cookie, und dass die Cookies für gewöhnlich 30 Tage aktiv bleiben [1]. Die Dauer legt die Marke fest. Dieselbe Quelle weist darauf hin, dass ein JavaScript-Fehler dazu führen kann, dass der Cookie nicht gespeichert wird und der Publisher keine Provision erhält [1].
Was bedeutet „ohne Third-Party-Cookies“ für Affiliate-Programme?
Third-Party-Cookies stammen von einer anderen Domain als der besuchten Seite. Safari blockiert sie laut WebKit standardmäßig und ohne Ausnahme [2]. Google hat im April 2025 entschieden, sie in Chrome beizubehalten und keine neue Abfrage einzuführen [3]. Für dein Programm heißt das: Verfahren, die sich nur auf Third-Party-Cookies stützen, sind in Safari wirkungslos, in Chrome funktionieren sie, solange Nutzer sie nicht selbst blockieren.
Wichtig ist die Unterscheidung zu First-Party-Cookies und zum Tracking auf der eigenen Domain. Auch hier gibt es Einschränkungen: WebKit löscht per JavaScript gesetzte Cookies nach sieben Tagen ohne Interaktion mit der Seite und begrenzt Cookies, die auf Basis von Klick-IDs in Links entstehen, auf 24 Stunden [2]. Wie lange eine Zuordnung hält, hängt also stark vom Browser ab.
Welche Tracking-Verfahren gibt es?
Es gibt vier gängige Bausteine, die oft kombiniert werden. Die Tabelle zeigt Funktionsweise, Stärken und Grenzen.
| Verfahren | So funktioniert es | Stärke | Grenze |
|---|---|---|---|
| Cookie (First-Party) | Die Kennung wird im Browser auf deiner Domain gespeichert | Einfach, weit verbreitet, Zuordnung über Tage | Browser begrenzen die Laufzeit, Nutzer können Cookies löschen [1][2] |
| Klick-ID | Eine Kennung hängt als Parameter am Link und wird beim Kauf zurückgegeben | Funktioniert ohne Third-Party-Cookie | Muss auf der Seite gespeichert werden, Safari begrenzt das [2] |
| Server-zu-Server-Meldung (Postback) | Dein Shop meldet den Verkauf samt Kennung direkt an das Netzwerk | Unabhängig vom Browser beim Kauf | Die Kennung muss vorher irgendwo gespeichert worden sein |
| Gutscheincode | Der Code ist einem Publisher zugeordnet | Zuordnung ohne Klick möglich | Abhängig von den Programmbedingungen [1] |
Der Berater Marcel Richter empfiehlt, Cookie und Postback parallel einzusetzen und Tracking regelmäßig zu prüfen [4]. Auch Awin nennt die Zuordnung per Gutscheincode und weist darauf hin, dass sie von den Programmbedingungen des Advertisers abhängt [1].
Was ist eine Klick-ID und warum ist sie wichtig?
Eine Klick-ID ist eine eindeutige Kennung, die ein Klick auf den Link des Publishers erzeugt. Sie hängt als Parameter an der Ziel-Adresse, zum Beispiel hinter einem Fragezeichen. Dein Shop liest sie aus der Adresse, speichert sie und gibt sie beim Kauf an das Netzwerk zurück. So lässt sich der Verkauf dem richtigen Klick zuordnen, auch wenn kein Third-Party-Cookie im Spiel ist.
Die Schwäche liegt in der Speicherung. WebKit beschreibt, dass solche Klick-IDs in Links erkannt werden und Cookies, die per JavaScript auf der Zielseite entstehen, dann auf 24 Stunden begrenzt werden [2]. Die Klick-ID allein reicht deshalb nicht, wenn Kunden erst nach Tagen kaufen. Hier hilft ein Verfahren, das die Kennung serverseitig verfügbar hält.
Was ist Server-zu-Server-Tracking?
Beim Server-zu-Server-Tracking, kurz S2S oder Postback, meldet dein Shop-Server den Verkauf direkt an das Netzwerk, ohne dass der Browser des Kunden dabei eine Rolle spielt. Die Meldung enthält die Klick-ID und den Bestellwert. Das senkt das Risiko, dass ein Werbeblocker oder eine Browser-Einstellung die Meldung verhindert.
S2S ersetzt aber nicht den Schritt davor: Die Kennung muss beim Klick irgendwo festgehalten werden, im Browser oder auf deinem Server. Es löst auch nicht die rechtliche Frage, denn auch serverseitige Verfahren können personenbezogene Daten verarbeiten [5]. Bei selecdoo läuft das Tracking im Starter über einen Tracking Pixel oder die Shopify-App, per Last-Click oder Gutscheincode.
Brauchst du für Affiliate-Tracking eine Einwilligung?
Das hängt vom Verfahren und vom Einzelfall ab, und die Einschätzungen sind streng. Dr. Datenschutz kommt zum Ergebnis, dass nach den Ausführungen der Datenschutzkonferenz und dem TDDDG die Frage nach der Einwilligung bei Affiliate-Tracking mit Cookies „schlicht mit JA“ beantwortet werden könne [5]. § 25 TDDDG gilt unabhängig davon, ob personenbezogene Daten vorliegen.
Auch ohne klassische Cookies ist Vorsicht geboten. Dieselbe Quelle schreibt, dass auch Cookieless Tracking unter § 25 TDDDG fallen kann und die Bezeichnung „cookieless“ nichts über die Einwilligungsbedürftigkeit aussagt [5]. Die Kanzlei SBS Legal hielt schon 2023 fest, dass Affiliate-Cookies nur für die Nachverfolgung vom Link zum Verkauf erforderlich sind, nicht für die Nutzung der Website, und deshalb nicht unter die Ausnahme fallen [6]. Merke dir: Ob mit oder ohne Cookies, eine pauschale Aussage, dass keine Einwilligung nötig sei, solltest du nicht übernehmen.
Wer ist datenschutzrechtlich verantwortlich?
Shop, Netzwerk und Publisher können gemeinsam verantwortlich nach Art. 26 DSGVO sein. Dr. Datenschutz beschreibt eine mögliche dreiteilige gemeinsame Verantwortlichkeit und hält fest, dass es schon ausreichen kann, dass der Publisher die Datenverarbeitung durch einen gesetzten Link auslöst [5]. SBS Legal sieht Affiliate und Merchant ebenfalls regelmäßig als gemeinsam Verantwortliche [6].
Praktisch heißt das: Kläre mit deinen Partnern, wer die Betroffenen informiert, und halte es schriftlich fest. Lass Datenschutzerklärung und Einwilligungsverfahren von einer Fachperson prüfen. Das ist keine Rechtsberatung.
Wie sieht es in Großbritannien aus?
Für Marken mit britischen Kunden gilt statt des TDDDG die Regel 6 der PECR. Die britische Datenschutzbehörde ICO hat am 29. April 2026 ihre endgültige Leitlinie zu Speicher- und Zugriffstechnologien veröffentlicht. Laut der Kanzlei A&O Shearman deckt sie Cookies, Tracking-Pixel und Device Fingerprinting ab und enthält ein Beispiel dazu, wie Tracking-Pixel im Affiliate-Marketing zu beurteilen sind [7]. Auch dort gilt Einwilligung als Ausgangspunkt, die Ausnahmen sind eng.
Wie wählst du das passende Verfahren?
Wähle nach deinem Shop-System, deinem Kaufzyklus und deiner Rechtslage, nicht nach dem Schlagwort. Bei Shopify ist die App der kürzeste Weg, bei anderen Systemen der Pixel. Wenn Kunden lange überlegen, brauchst du eine Zuordnung, die länger hält als 24 Stunden, und solltest mit deinem Anbieter klären, wie die Kennung gespeichert wird.
Gutscheincodes sind ein zusätzlicher Weg, weil sie die Zuordnung auch ohne Klick ermöglichen, wenn die Programmbedingungen es vorsehen [1]. Prüfe in jedem Fall mit Testkäufen, ob Klick und Code im Bericht ankommen, und wiederhole den Test nach Änderungen im Shop.
Fazit
Tracking ohne Third-Party-Cookies ist möglich, aber kein Selbstläufer: Jedes Verfahren hat Grenzen, und Browser verhalten sich unterschiedlich. Dazu kommt die rechtliche Seite, bei der „ohne Cookies“ keine Entwarnung bedeutet. Einen Überblick findest du auf der Seite zu Affiliate-Tracking ohne Cookies im Überblick. Du kannst direkt kostenlos starten oder das Tracking deines Shops im Discovery Call besprechen. Du kannst mit einer Frist von 4 Wochen zum Quartalsende kündigen. Dieser Beitrag ist keine Rechtsberatung.
Quellenverzeichnis
- Awin (17.08.2020, Seite ohne Aktualisierungsdatum): Affiliate-Tracking einfach erklärt
- WebKit (laufend gepflegte Seite, abgerufen am 04.11.2026): Tracking Prevention in WebKit
- Didomi (29.04.2025, zur Ankündigung von Google vom 22.04.2025): Google Chrome is keeping third-party cookies after all: What does it mean?
- Marcel Richter (04.02.2026): Perfektes Partnerprogramm-Tracking: So schaffst du die technische Basis
- Dr. Datenschutz (20.10.2026): Affiliate-Marketing und Datenschutz: So kann es funktionieren
- SBS Legal (04.12.2023): Cookies verboten? Datenschutz im Affiliate-Marketing
- A&O Shearman (15.05.2026, zur ICO-Leitlinie vom 29.04.2026): ICO sets out approach to storage, access and online tracking
Hinweis: Alle Quellen wurden am 04.11.2026 abgerufen. Der Beitrag ist keine Rechtsberatung. Die Rechtslage kann sich ändern, ältere Quellen entsprechend prüfen.